Cyber Resilience Act: die Arbeitsdateien für Klassifizierung, Meldeprozess und Konformitätserklärung.
Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb von 24 Stunden über die Meldeplattform der ENISA melden. Ab 11. Dezember 2027 gelten alle Anforderungen, und harmonisierte Normen gibt es dafür noch keine. Mit diesem Kit stufen Sie Ihre Produkte ein, prüfen sie gegen Anhang I und setzen den Meldeprozess auf.
Die Meldepflicht gilt bereits
Der CRA ist seit 10. Dezember 2024 in Kraft. Seit 11. Juni 2026 können notifizierte Stellen benannt werden, seit 11. September 2026 gilt die Meldepflicht nach Art. 14. Sie betrifft auch Produkte, die schon verkauft werden. Ab 11. Dezember 2027 dürfen nur noch Produkte in Verkehr gebracht werden, die die grundlegenden Anforderungen erfüllen und eine CE-Kennzeichnung tragen. Bis dahin bleibt gut ein Jahr für Gap-Analyse, Umsetzung und, falls nötig, die notifizierte Stelle.
Typische Ausgangslage
- ✕Es ist unklar, welche Produkte unter den CRA fallen und in welche Klasse.
- ✕Niemand weiß genau, wer eine ausgenutzte Schwachstelle meldet, wo und bis wann.
- ✕Es gibt keine SBOM, keine Offenlegungsrichtlinie und kein security.txt.
- ✕Zugekaufte Komponenten wurden nie dokumentiert geprüft.
- ✕Die technische Dokumentation steckt in Tickets und in den Köpfen einzelner Leute.
Was Sie mit dem Kit erreichen
- Jedes Produkt ist eingestuft: Gilt der CRA, welche Klasse, welcher Konformitätsweg, braucht es eine notifizierte Stelle?
- Der Meldeprozess steht, mit Rollen, Entscheidungsbaum und englischen Textvorlagen für die ENISA-Plattform.
- Sie sehen für jede Anforderung aus Anhang I und Art. 13/14, wie weit Sie sind.
- Sie haben eine Richtlinie für SBOM, Schwachstellen, Updates und Supportzeitraum und dazu eine CVD-Richtlinie zum Veröffentlichen.
- Technische Dokumentation und Konformitätserklärung sind gegliedert, der Fahrplan bis 11.12.2027 steht.
Was im Kit steckt
Neun Dateien je Sprache. Sie befüllen sie mit Ihren eigenen Produkten und arbeiten damit bis zur Konformitätsbewertung weiter.
Betroffenheit & Klassifizierung
Sie tragen Ihre Produkte ein und beantworten ein paar Auswahlfragen. Das Tool zeigt dann, ob der CRA gilt, welche Klasse vorliegt (Standard, wichtig I/II, kritisch), welcher Konformitätsweg passt und ob eine notifizierte Stelle nötig ist. Die Kategorien folgen Anhang III/IV und der DVO (EU) 2025/2392.
Gap-Assessment Anhang I
39 Anforderungen aus Anhang I Teil I und II sowie Art. 13/14, jeweils mit Leitfrage und erwartetem Nachweis. Das Dashboard rechnet den Erfüllungsgrad aus.
Melde-Playbook Art. 14
Rollen, Entscheidungsbaum und Fristen (24 h, 72 h, Abschlussbericht). Dazu englische Textvorlagen für die ENISA-Plattform, ein Kundenhinweis und ein Meldelog. Parallele Meldungen nach DSGVO und NIS2 sind mitgedacht.
Richtlinie Schwachstellen, SBOM & Offenlegung
Richtlinie für SBOM, Schwachstellenmanagement, Sicherheitsupdates und Supportzeitraum. Der letzte Abschnitt ist eine CVD-Richtlinie, die Sie so veröffentlichen können.
security.txt
Nach RFC 9116. Ausfüllen und auf Ihrer Website ablegen, dann wissen Sicherheitsforscher, wohin sie Schwachstellen melden.
Technische Dokumentation & Konformitätserklärung
Gliederung nach Anhang VII, Risikobewertung nach Art. 13, Nutzerinformationen nach Anhang II, EU-Konformitätserklärung nach Anhang V und die vereinfachte Fassung nach Anhang VI.
Komponenten- & Lieferantenfragebogen
Für die Sorgfaltsprüfung bei Drittkomponenten nach Art. 13 Abs. 5: Fragebogen, Bewertung und passende Vertragsklauseln.
Umsetzungsfahrplan bis Dez. 2027
32 Aufgaben in fünf Phasen plus laufende Pflege, mit Rollen und Fristenampel.
Zuerst lesen + Lizenz
Fristen, Begriffe, ein Einstieg in zwei Stunden und die Lizenz. Berater dürfen das Kit bei Kunden einsetzen, die sie direkt betreuen.
Für wen es ist
Hersteller von Software und vernetzter Hardware
Apps, Firmware, Industriegeräte: alles mit Datenverbindung, das in der EU verkauft wird.
Produkt- und Security-Verantwortliche
Wer den CRA im Unternehmen „mal anschauen“ soll, bekommt hier Arbeitsunterlagen statt Gesetzestext.
Einführer & Händler
Das Klassifizierungs-Tool zeigt auch Ihre Prüfpflichten, bevor Sie Produkte aus Drittländern anbieten.
Berater & Dienstleister
Fertige Werkzeuge für Ihre CRA-Projekte. Die Lizenz deckt Kunden ab, die Sie direkt betreuen.
Kit holen
Einmalzahlung, Sofort-Download, Updates inklusive.
- Deutsche und englische Fassung (18 Dateien)
- 3 Excel-Werkzeuge, die automatisch auswerten
- 5 Word-Vorlagen und eine security.txt
- Englische Textvorlagen für die ENISA-Meldeplattform
- Fahrplan mit 32 Aufgaben bis 11.12.2027
- Regelmäßige Updates inklusive, etwa wenn Normen erscheinen
- Kommerzielle Lizenz, auch für Berater
Beide Sprachfassungen sind enthalten.
Sicherer Checkout über Stripe · PayPal, Karte, Klarna, EPS · Endpreis, keine USt (Kleinunternehmer) · Rechnung automatisch
Mit dem Kauf verlangen Sie ausdrücklich, dass wir sofort mit der Bereitstellung beginnen, und nehmen zur Kenntnis, dass Sie damit Ihr Rücktrittsrecht verlieren (§ 18 Abs 1 Z 11 FAGG). Es gelten unsere AGB und die Datenschutzerklärung.
- Betroffenheits- und Klassenanalyse Ihrer Produkte
- Meldeprozess nach Art. 14 aufsetzen und üben
- Gap-Analyse gegen Anhang I mit Maßnahmenplan
- SBOM und Schwachstellenmanagement einführen
- Technische Dokumentation und Konformitätsbewertung vorbereiten
- Produkt-Penetrationstest als Nachweis
Wenn wir Sie begleiten, arbeiten wir ebenfalls mit dem Kit.
FAQ
Haftungsausschluss: Dieses Kit dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Die Verordnung (EU) 2024/2847 ist komplex, ihre Anwendung hängt vom konkreten Produkt ab. Stand der Inhalte: Oktober 2026. Passen Sie alle Dokumente an und ziehen Sie bei Grenzfällen qualifizierten Rechtsrat hinzu.